如何使用API网关将Cognito用户池组传递给Lambda上下文？

Question

我在使用Lambda代理集成的API网关后面有几个Lambda函数。每个功能都配置有AWS_IAM授权程序。我能够成功地对Cognito用户池进行身份验证，然后从Lambda事件中检索用户ID，如下所述https://serverless-stack.com/chapters/mapping-cognito-identity-id-and-user-pool-id.html.

但是，我正在努力获取经过身份验证的用户所属的用户池组列表。理想情况下，它们将作为事件的一部分传递，因为Cognito授权人已经拥有此信息。我看到有人提到向方法的集成请求添加映射，但在使用Lambda代理集成时，这似乎不是一个选项。

我也尝试了这里的所有建议，但没有成功。https://github.com/aws-amplify/amplify-js/issues/390

Answer 1

我不敢相信他们不把这个传进来。我是这么做的：

    - Effect: Allow
      Action:
        - cognito-idp:AdminListGroupsForUser
      Resource: ${self:custom.userPoolArn}

这使得我的lambda函数可以访问AdminListGroupsForUser函数。

使用此处引用的字符串解析函数，您可以获得UserPoolUserId和UserPoolId。我的lambda代码是用python编写的，但思想是一样的：

auth_provider = event['requestContext']['identity']['cognitoAuthenticationProvider']
userPoolUserId = parts[-1] # the last part of the list
userPoolId = parts[0].split('/')[-1]

然后将这些值传递给在上一步中授予权限的管理员列表组浏览器。

cognito = boto3.client('cognito-idp')
groups = cognito.admin_list_groups_for_user(
            UserPoolId = userPoolId,
            Username = userPoolUserId
            )
print(groups)

然后，您将得到一个包含它们所属的所有组的哈希。如果有一群组，您可以将其他参数传递给AdminListGroupsForUser，以获取它们。希望这对你有用！